Ana içeriğe geç

SaaS sürümü için Tek Giriş'i (SSO) etkinleştirme

Giriş​

SaaS hizmet planınız bu özelliği içeriyorsa, Tek Giriş (Single Sign-on) bölümü SAML kullanarak üçüncü taraf kimlik doğrulamasını etkinleştirmenizi sağlar. Bu da kullanıcıların portala daha hızlı, daha basit ve daha güvenli erişmesini sağlar.

Tek Giriş teknolojisi, kullanıcıların yalnızca bir kez oturum açıp yeniden kimlik doğrulaması yapmadan birden çok uygulamaya/hizmete erişmesine olanak tanır. Örneğin bir web portalı birkaç büyük bağımsız bölümden (forum, sohbet, bloglar vb.) oluşuyorsa, kullanıcı kimlik doğrulamasını hizmetlerden birinde yapabilir ve kimlik bilgilerini birkaç kez girmeden diğer tüm hizmetlere otomatik olarak erişebilir.

Kimlik Sağlayıcınızı ONLYOFFICE Hizmet Sağlayıcıda kaydetme​

Kimlik Sağlayıcı (Identity Provider, IdP), kullanıcı kimlik bilgilerini oluşturan, saklayan ve yöneten, bir birlik içindeki diğer Hizmet Sağlayıcılara (Service Provider) kullanıcı kimlik doğrulaması sunan bir hizmettir. OneLogin, AD FS gibi hizmetler Kimlik Sağlayıcı olarak çalışır. Hizmet Sağlayıcı (SP), web hizmetleri sunan ve kullanıcı kimlik doğrulaması için güvenilir bir Kimlik Sağlayıcıya dayanan bir kuruluştur. Bu durumda Hizmet Sağlayıcı ONLYOFFICE'tir.

SSO, bir Kimlik Sağlayıcı ile bir Hizmet Sağlayıcı arasında kimlik doğrulama ve yetkilendirme verilerini değiş tokuş etmek için SAML kullanılarak etkinleştirilebilir:

  • SAML (Security Assertion Markup Language), kimlik sağlayıcı ile hizmet sağlayıcı arasında kullanıcı kimlik doğrulama/yetkilendirme verilerinin, onaylar (assertion) içeren güvenlik belirteçleri aracılığıyla iletilmesini sağlayan bir XML standardıdır.

ONLYOFFICE kullanıcı parolalarını saklamaz, bunun yerine Kimlik Sağlayıcı tarafında yapılan kimlik doğrulamasının sonucunu kullanır; bu da daha yüksek güvenlik sağlar. Gerekli tüm kullanıcı bilgileri bir kimlik doğrulama belirteciyle iletilir. Kullanıcı bilgileri Kimlik Sağlayıcı tarafında değişirse, bir sonraki SSO kimlik doğrulamasında portalda otomatik olarak güncellenir (verilerin yalnızca tek yönde, Kimlik Sağlayıcı'dan ONLYOFFICE Workspace'e eşitlenebileceğini unutmayın).

Kimlik Sağlayıcı ve ONLYOFFICE Workspace SSO için karşılıklı olarak yapılandırıldıktan sonra, kullanıcının SSO kimlik doğrulaması Kimlik Sağlayıcı tarafında gerçekleştirilir. ONLYOFFICE Workspace, Kimlik Sağlayıcı'dan bir kimlik doğrulama belirteci (SAML) alır. Belirteç doğrulandıktan sonra (dijital imzalar ve belirteç ömrü kullanılarak) ONLYOFFICE Workspace kullanıcının portala erişmesine izin verir.

SSO'yu etkinleştirme​

Portalınız için SSO kimlik doğrulamasını etkinleştirmek ve yapılandırmak üzere şu adımları izleyin:

Hizmet Sağlayıcıyı ayarlamadan önce Kimlik Sağlayıcı yapılandırmasını doğrulayın.

  1. Ayarlar'ı açmak için sağ üst köşedeki Ayarlar simgesi simgesine tıklayın.
  2. Sol kenar çubuğundaki Entegrasyon bölümünde Tek Giriş'e tıklayın.
  3. Tek Giriş başlığının altındaki Enable Single Sign-on Authentication düğmesini etkinleştirin.
  4. ONLYOFFICE SP Settings bölümündeki gerekli alanları doldurun. Gerekli bilgiler birkaç farklı yolla belirtilebilir:
    • Meta veri dosyasının URL adresini girin. IdP meta verileriniz bir bağlantı ile dışarıdan erişilebilir durumdaysa, bağlantıyı URL to IdP Metadata XML alanına girin ve verileri yüklemek için ok düğmesine tıklayın. Veriler yüklendiğinde, gerekli tüm parametreler genişletilmiş formda otomatik olarak görüntülenir.
    • Meta veri dosyasını yükleyin. IdP'niz bir meta veri dosyası sağlıyorsa, bilgisayarınızda dosyaya göz atmak için Dosya seç'e tıklayın. Dosya yüklendiğinde, gerekli tüm parametreler genişletilmiş formda otomatik olarak görüntülenir.
    • Gerekli parametreleri elle belirtin. Meta veri dosyası yoksa, gerekli parametreleri elle girin. Gerekli değerleri almak için IdP yöneticinizle iletişime geçin.

Aşağıdaki parametreler kullanılabilir:

  • IdP Entity Id (zorunlu alan) - Hizmet Sağlayıcı'nın IdP'yi tek anlamlı biçimde tanımlamak için kullanacağı Kimlik Sağlayıcı tanımlayıcısı veya URL adresi.

    not

    Örneğin, https://example.com/idp/shibboleth

    Burada example.com, SSO hizmetinizin alan adıdır.

  • IdP Single Sign-On Endpoint URL (zorunlu alan) - Kimlik Sağlayıcı tarafında tek girişte kullanılan URL. IdP'nizde SP'nin kimlik doğrulama isteklerini gönderdiği uç nokta adresidir.

    Karşılık gelen radyo düğmelerinden birini seçerek Binding türünü belirleyin. Binding'ler, kimlik doğrulama isteklerinin ve yanıtlarının IdP ile SP arasında alttaki aktarım protokolü üzerinden nasıl iletileceğini belirler: HTTP POST veya HTTP Redirect binding.

  • IdP Single Logout Endpoint URL - Hizmet Sağlayıcı tarafında tek çıkış için kullanılan URL. IdP'nizde SP'nin çıkış isteklerini/yanıtlarını gönderdiği uç nokta adresidir.

    Karşılık gelen radyo düğmelerinden birini seçerek Binding türünü belirleyin. Binding'ler, çıkış isteklerinin ve yanıtlarının IdP ile SP arasında alttaki aktarım protokolü üzerinden nasıl iletileceğini belirler: HTTP POST veya HTTP Redirect binding.

  • NameId Format - NameID parametresi SP'nin bir kullanıcıyı tanımlamasını sağlar. Listeden kullanılabilir biçimlerden birini seçin.

not

Tek Giriş hizmetiyle portala giriş yapmak için kullanılan düğmeyi ONLYOFFICE kimlik doğrulama sayfasında özelleştirebilirsiniz. Bunun için ONLYOFFICE SP Settings bölümündeki Custom login button caption alanını kullanın.

IdP ve SP sertifikalarını da ekleyebilirsiniz.

IdP Public Certificates​

IdP Public Certificates - bu bölüm, SP'nin IdP'den gelen istekleri ve yanıtları doğrulamak için kullandığı Kimlik Sağlayıcı ortak sertifikalarını eklemenizi sağlar.

IdP meta verilerini yüklediyseniz, bu sertifikalar portalınıza otomatik olarak eklenir. Aksi halde sertifikaları IdP hesabınızda bulabilirsiniz. Sertifikayı elle eklemek için Add certificate düğmesine tıklayın. New Certificate penceresi açılır. Sertifikayı Public Certificate alanına girin ve OK düğmesine tıklayın.

Karşılık gelen onay kutularını seçerek sertifikalar için ek parametreler belirleyin.

IdP'den SP'ye gönderilen isteklerin/yanıtların hangi imzalarının doğrulanacağını belirtin:

  • Verify Auth Responses Sign - SP'ye gönderilen SAML kimlik doğrulama yanıtlarının imzalarını doğrulamak için.
  • Verify Logout Requests Sign - SP'ye gönderilen SAML çıkış isteklerinin imzalarını doğrulamak için.
  • Verify Logout Responses Sign - SP'ye gönderilen SAML çıkış yanıtlarının imzalarını doğrulamak için.

Default Sign Verifying Algorithm listesinden uygun algoritmayı seçin: rsa-sha1, rsa-sha256 veya rsa-sha512.

not

Varsayılan ayarlar yalnızca IdP meta verilerinde hangi algoritmanın kullanılacağı belirtilmediğinde kullanılır.

Eklenen sertifikalar, karşılık gelen bağlantı kullanılarak düzenlenebilir veya silinebilir.

SP Certificates​

SP Certificates - bu bölüm, SP'nin istekleri ve yanıtları imzalamak ve şifrelemek için kullandığı Hizmet Sağlayıcı sertifikalarını eklemenizi sağlar.

IdP'niz giriş verilerinin imzalanmasını ve/veya şifrelenmesini gerektiriyorsa, bu bölümde ilgili sertifikaları oluşturun veya ekleyin.

Add certificate düğmesine tıklayın. New Certificate penceresi açılır. Kendinden imzalı bir sertifika oluşturabilir veya var olan bir sertifikayı Public Certificate alanına, karşılık gelen özel anahtarı ise Private Key alanına ekleyebilirsiniz. Use for listesinde kullanılabilir seçeneklerden birini seçin: signing, encrypt, signing and encrypt. Hazır olduğunuzda OK düğmesine tıklayın.

Sertifikayı yüklerken/oluştururken Use for listesinde seçilen sertifika amacına bağlı olarak sertifikanın ek parametreleri belirlenir. Aşağıdaki parametreler, SP'den IdP'ye gönderilen hangi isteklerin/yanıtların imzalanacağını belirler:

  • Sign Auth Requests - SP'nin IdP'ye gönderilen SAML kimlik doğrulama isteklerini imzalaması için.
  • Sign Logout Requests - SP'nin IdP'ye gönderilen SAML çıkış isteklerini imzalaması için.
  • Sign Logout Responses - SP'nin IdP'ye gönderilen SAML çıkış yanıtlarını imzalaması için.

Use for listesinde encrypt veya signing and encrypt seçeneğini seçtiyseniz, Decrypt Assertions parametresi de işaretlenir. Şifre çözme, karşılık gelen Private Key kullanılarak yapılır.

Listelerden gerekli algoritmaları seçin:

  • Signing Algorithm: rsa-sha1, rsa-sha256 veya rsa-sha512.
  • Default Decrypt Algorithm: aes128-cbc, aes256-cbc veya tripledes-cbc.

Eklenen sertifikaları karşılık gelen bağlantıyı kullanarak düzenleyebilir veya silebilirsiniz.

Attribute Mapping​

Attribute Mapping - bu bölüm, ONLYOFFICE İnsanlar modülündeki alanları IdP'den dönecek kullanıcı özniteliklerine eşlemenizi sağlar. Bir kullanıcı SSO kimlik bilgileriyle ONLYOFFICE SP'ye giriş yaptığında, ONLYOFFICE SP gerekli öznitelikleri alır ve kullanıcı hesabındaki tam ad ve e-posta adresi alanlarını IdP'den alınan değerlerle doldurur. Kullanıcı İnsanlar modülünde yoksa otomatik olarak oluşturulur. Kullanıcı bilgileri IdP tarafında değiştirilirse, SP'de de güncellenir.

Kullanılabilir öznitelikler:

  • First Name (zorunlu alan) - kullanıcı kaydında kullanıcının adına karşılık gelen öznitelik.
  • Last Name (zorunlu alan) - kullanıcı kaydında kullanıcının soyadına karşılık gelen öznitelik.
  • Email (zorunlu alan) - kullanıcı kaydında kullanıcının e-posta adresine karşılık gelen öznitelik.
  • Location - kullanıcı kaydında kullanıcının konumuna karşılık gelen öznitelik.
  • Title - kullanıcı kaydında kullanıcının unvanına karşılık gelen öznitelik.
  • Phone - kullanıcı kaydında kullanıcının telefon numarasına karşılık gelen öznitelik.

Advanced Settings​

Hide auth page seçeneği, varsayılan kimlik doğrulama sayfasını gizlemenizi ve SSO hizmetine otomatik olarak yönlendirmenizi sağlar.

Önemli

Varsayılan kimlik doğrulama sayfasını geri yüklemeniz gerekirse (IdP sunucunuz arızalandığında portala erişebilmek için), tarayıcının adres çubuğunda portalınızın alan adından sonra /Auth.aspx?skipssoredirect=true anahtarını ekleyebilirsiniz.

Tüm ayarları yapılandırdıktan sonra Kaydet'e tıklayın. ONLYOFFICE SP Metadata bölümü açılır.

ONLYOFFICE'i Kimlik Sağlayıcınızda güvenilir Hizmet Sağlayıcı olarak kaydetme​

ONLYOFFICE SP meta verilerini IdP'de belirterek, IdP hesabınıza ONLYOFFICE'i güvenilir bir Hizmet Sağlayıcı olarak ekleyin.

Gerekli verileri almak için SSO sayfasındaki ONLYOFFICE SP Metadata bölümüne bakın. SP verilerinin herkese açık olduğunu doğrulayın. Bunun için Download SP Metadata XML'e tıklayın. XML dosyasının içeriği yeni bir tarayıcı sekmesinde görüntülenir. Verileri IdP'ye yükleyebilmek için XML dosyası olarak kaydedin.

Dilerseniz ilgili alanlarda Copy to clipboard'a tıklayarak parametreleri tek tek elle kopyalayabilirsiniz.

Aşağıdaki parametreler kullanılabilir:

  • SP Entity ID (meta veri XML'ine bağlantı) - Kimlik Sağlayıcı'nın SP'yi tek anlamlı biçimde tanımlamak için indirip kullanabileceği Hizmet Sağlayıcı XML URL adresi. Varsayılan olarak dosya şu adreste bulunur: http://example.com/sso/metadata. Burada example.com, ONLYOFFICE portalınızın alan adı veya genel IP adresidir.
  • SP Assertion Consumer URL (POST ve Redirect binding desteklenir) - Hizmet Sağlayıcı'nın Kimlik Sağlayıcı'dan gelen onayları aldığı ve işlediği URL adresi. Varsayılan olarak şu adres kullanılır: http://example.com/sso/acs. Burada example.com, ONLYOFFICE portalınızın alan adı veya genel IP adresidir.
  • SP Single Logout URL (POST ve Redirect binding desteklenir) - Kimlik Sağlayıcı tarafında tek çıkış için kullanılan URL. SP'nizde Kimlik Sağlayıcı'dan gelen çıkış isteklerinin/yanıtlarının alındığı ve işlendiği uç nokta adresidir. Varsayılan olarak şu adres kullanılır: http://example.com/sso/slo/callback. Burada example.com, ONLYOFFICE portalınızın alan adı veya genel IP adresidir.
not

Bu parametreler ve XML içeriği portal yapılandırmanıza göre değişir. Örneğin portalınızı HTTPS'e geçirir veya bir alan adı belirtirseniz parametreler de değişir ve IdP'nizi yeniden yapılandırmanız gerekir.

ONLYOFFICE SP'ye giriş yapma​

SSO etkinleştirilip yapılandırıldıktan sonra giriş işlemi şöyle ilerler:

  1. Kullanıcı, ONLYOFFICE portalı Kimlik Doğrulama sayfasında Tek Giriş düğmesine (ONLYOFFICE SP'yi yapılandırırken kendi metninizi belirttiyseniz başlık farklı olabilir) tıklayarak ONLYOFFICE'e erişim ister (SP tarafından başlatılan SSO).
  2. Tüm IdP ve SP ayarları doğru yapılandırılmışsa, ONLYOFFICE kimlik doğrulama isteğini IdP'ye gönderir ve kullanıcıyı kimlik bilgilerinin istendiği IdP sayfasına yönlendirir.
  3. Kullanıcı IdP'de henüz oturum açmamışsa, kimlik bilgilerini IdP tarafında girer.
  4. IdP, kullanıcı verilerini içeren kimlik doğrulama yanıtını oluşturur ve ONLYOFFICE'e gönderir.
  5. ONLYOFFICE, Kimlik Sağlayıcı'dan kimlik doğrulama yanıtını alır ve doğrular.
  6. Yanıt doğrulanırsa, ONLYOFFICE kullanıcıya portala erişim izni verir. Kullanıcı hesabı henüz yoksa otomatik olarak oluşturulur, IdP'de herhangi bir veri değiştiyse güncellenir.

Kimlik Sağlayıcı tarafındaki giriş sayfasını kullanmak (IdP tarafından başlatılan SSO), kimlik bilgilerini girmek ve ardından yeniden kimlik doğrulaması yapmadan ONLYOFFICE portalına erişmek de mümkündür.

ONLYOFFICE SP'den çıkış yapma​

Çıkış iki şekilde yapılabilir:

  1. ONLYOFFICE portalından Oturumu Kapat menüsüyle (bu durumda IdP'ye bir çıkış isteği gönderilir). SSO ile daha önce erişilen diğer tüm uygulamalardan çıkış yapıldığında, kullanıcının IdP'den de otomatik olarak çıkış yapması gerekir.
  2. IdP çıkış sayfasından.

SSO ile oluşturulan kullanıcı profillerini düzenleme​

SSO kimlik doğrulamasıyla oluşturulan kullanıcılar, portal yöneticisinin kullanıcı listesinde SSO simgesiyle işaretlenir.

Bu kullanıcı profillerinin İnsanlar modülünde düzenlenmesi kısıtlıdır. SSO kimlik doğrulamasıyla doldurulan kullanıcı profili alanları İnsanlar modülünden düzenlenemez. Kullanıcı verileri yalnızca IdP tarafında değiştirilebilir.